Qué sabe de ti un asistente que lee tu correo
Memoria con fecha de caducidad, cifrado por campo y un botón de olvidar: tres cosas que deberían ser obligatorias y casi nunca están.
Para que un asistente sea útil tiene que acordarse de cosas. Que tu gestoría se llama así, que los martes no hay reuniones, que a este cliente se le escribe de usted. El problema es que "acordarse" significa guardar, y guardar información sacada de tu correo es una responsabilidad distinta a guardar tu configuración de tema oscuro.
Memoria no es historial
Conviene separar dos cosas que se confunden. El historial es la copia de tus mensajes; la memoria es lo que el sistema ha deducido de ellos. "Tienes 613 correos de este remitente" es historial. "Trabaja con esta gestoría" es memoria.
La memoria es mucho más pequeña y mucho más sensible. Es también la única que hace falta para que el asistente funcione bien el mes que viene. Un diseño razonable guarda memoria y no acumula historial más allá de lo que necesita para trabajar.
Tres propiedades que debería tener cada recuerdo
- Una fuente. De qué mensaje salió. Sin eso no puedes comprobar si es verdad, y un recuerdo que no se puede comprobar acaba siendo un rumor que el sistema repite.
- Una confianza. No es lo mismo un dato que aparece en veinte correos que uno deducido de una frase ambigua. Mezclarlos hace que el asistente afirme tonterías con la misma seguridad con la que acierta.
- Una caducidad. Los hechos envejecen. El cargo de alguien, un proyecto, una dirección. Un recuerdo sin fecha de caducidad es un error futuro esperando su turno.
Y por encima de las tres: un botón de olvidar, por recuerdo, que funcione de verdad y no marque una casilla mientras el dato sigue ahí.
Cifrado por campo, no solo "la base de datos está cifrada"
"Los datos están cifrados en reposo" suele significar que el disco lo está, lo cual protege contra el robo del disco y contra poco más. Si alguien accede a la base de datos con credenciales válidas, lo ve todo en claro.
Cifrar por campo —el asunto, el remitente, el resumen, cada uno con su clave y su contexto— es más trabajo y cambia el resultado: una consulta suelta a la tabla no devuelve nada legible. Es la diferencia entre proteger el edificio y proteger el documento.
El consentimiento tiene que ser reversible
Un permiso que se pide una vez, al principio, cuando el usuario todavía no sabe qué hace la aplicación, no es consentimiento informado: es un peaje. Los permisos deberían pedirse en el momento en que hacen falta, explicando para qué, y quitarse igual de fácil. Si conceder tarda un clic y revocar tarda un correo a soporte, el diseño está diciendo algo.
Puedes ver qué guardamos exactamente, con qué claves y durante cuánto tiempo en nuestra política de privacidad y en la política de retención. Hay más sobre esto en los artículos de privacidad.